Schweizer Datenschutzgesetz

• • Neuer Geltungsbereich: Das nDSG gilt nur noch für den Datenschutz natürlicher Personen und nicht mehr für Daten juristischer Personen.
• • Erweiterter Umfang: Genetische und biometrische Daten werden als besonders schützenswert eingestuft und unterliegen besonderen Datenschutzbestimmungen.

• • Verbesserte Transparenz: Unternehmen müssen die betroffenen Personen umfassend und angemessen über jede Datenbeschaffung informieren, nicht nur bei besonders schützenswerten Daten. Dabei sind Identität, Kontaktdaten des Verantwortlichen, Bearbeitungszweck, Empfänger und Empfängerland bei Datenexport anzugeben.

• • Verzeichnis der Bearbeitungstätigkeiten: Unternehmen müssen ein Verzeichnis der Bearbeitungstätigkeiten führen, wobei die Pflicht zur Führung eines Verzeichnisses der Datensammlungen entfällt. Eine intelligente Verknüpfung beider Verzeichnisse ist empfohlen. Typische Beispiele einer Bearbeitungstätigkeit sind die Kundendaten- oder Mitgliederverwaltung, Finanzbuchhaltung, Personalmanagement, Marketing und Kommunikation, Onlineshop, Bewerbermanagement, Lohnzahlungen und Beschaffung.

    Für kleine und mittlere Unternehmungen entfällt die Pflicht, ein Bearbeitungsverzeichnis zu führen, wenn diese weniger als 250 Mitarbeiter beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt.

• • Datenschutz-Folgenabschätzung: Unternehmen müssen eine Datenschutz-Folgenabschätzung durchführen, wenn die Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen birgt. Diese Abschätzung muss dokumentiert werden.
• • Profiling: Das nDSG regelt das Profiling (automatisierte Datenbearbeitung) bezüglich persönlicher Aspekte wie wirtschaftlicher Lage, Gesundheit, Interessen, Verhalten usw. Eine allgemeine Pflicht zur Einholung einer Einwilligung besteht nicht, es sei denn, das Profiling birgt ein hohes Risiko.
• • Schnelle Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB): Verletzungen der Datensicherheit müssen dem EDÖB so schnell wie möglich gemeldet werden, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führen. Die Meldefrist entspricht jener der Europäischen Unio. Die betroffene Person ist in der Regel zu informieren.

• • Privacy-by-Design und Privacy-by-Default: Unternehmen müssen Datenschutzprinzipien bereits bei der Planung und Gestaltung von Applikationen berücksichtigen und Einwilligungen, die über die notwendige Datenbearbeitung hinausgehen, nicht durch Voreinstellungen erreichen.